IPTV承载网络DHCP接入技术规范V2[1].2

文件编号： SHDX/ZS/CZ/JG/006/A/2009中国电信集团上海市电信公司用开发，以及相应检测工作。

3引用标准下列文件中的条款通过本标准的引用而成为本标准的条款。

凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。

凡是不注日期的引用文件，其最新版本适用于本标准。

RFC951： Bootstrap ProtocolRFC1084： BOOTP vendor information extensionsRFC1123： Requirements for Internet Hosts - Application and SupRFC1534： Interoperation Between DHCP and BOOTPRFC1497： BOOTP Vendor Information ExtensionsRFC1541： Dynamic Host Configuration ProtocolRFC1533： DHCP Options and BOOTP Vendor ExtensionsRFC2131： Dynamic Host Configuration ProtocolRFC3203： DHCP reconfigure extensionRFC3315： Dynamic Host Configuration Protocol for IPv6 (DHCPv6)RFC3315： Vendor-Identifying Vendor Options for Dynamic Host Configuration Protocol version 4 (DHCPv4)： Dynamic Host Configuration Protocol RFC4702： The Dynamic Host Configuration Protocol (DHCP) Client Fully Qualified Domain Name (FQDN) Option RFC4833： Timezone Options for DHCP（【注】以上RFC如包含已废止内容，请参照新的RFC相关文档）4缩略语IP Internet Protocol 网络协议STB Set Top Box 机顶盒LAN Local Area Network 局域网IPTV Internet Protocol Television 网络电视5系统描述5.1DHCP包交互流程时序图如下：图5-1-1 DHCP包交互流程图DHCP包交互流程流程如下：a).机顶盒开机即检测本机存储中是否有接入层户名及密码，如果没有，则提示要求输入，如果有，则将接入层用户名及密码加密后封装进DHCP Discover包中的Option 60字段里。

b).机顶盒将DHCP的Discover包广播出去，申请地址；中间的网络设备将会捕捉到DHCP Discover报文，并向里添加相应的Option82信息。

c).DHCP服务器收到请求后将报文中的Option 60信息进行解包并组成认证报文，送给认证服务器。

d).认证服务器将认证报文解密后进行认证。

如果认证失败，传送结果给DHCP服务器，DHCP服务器不对此用户做回应。

如果认证成功，传送结果给DHCP服务器，DHCP服务器将分配给用户的IP地址封装进DHCP OFFER包中，再发送给机顶盒。

e).DHCP服务器需要在回给客户端的DHCP OFFER包中插入认证信息（option125）以便客户端能够对此信息进行鉴权，以辨别该OFFER包是否来自电信认可的DHCP服务器。

f).机顶盒收到OFFER包后再次将接入层用户名和密码加密后封装进DHCP Request包的Option60（加密时随机数R、时间戳TS等要重新生成），确认使用OFFER包中分配的地址。

此时DHCP服务器并不把Option 60中的信息转给认证服务器。

g).DHCP服务器最后回复给机顶盒DHCPACK包并加入option125信息，完成此次地址申请。

5.2续约时序图5-2-1 DHCP地址续约时序图DHCP地址续约流程如下：a).机顶盒将在T1(租期的50%)时间发起第一次续约请求（Request报文），报文发送方式为单播。

b).机顶盒如果在第一次续约时没有得到回应的ACK报文后，将在T2(租期的87.5%)第二次发送续约请求（Request报文），报文发送方式为广播。

c).如果第二次续约仍然没有回应。

将在租约到期后清除地址，重新发送Discover包。

（【注】：机顶盒在续约的时候也必须带有Option60信息。

）6DHCP包内容格式以下涉及的报文中各Option选项都只能出现1次，且非本文规定的任何的可选Option信息都禁止出现。

6.1Discover包内容要求-广播6.2Offer包内容要求-单播6.6Release包内容要求-单播图7-1 双栈流程图a).开机后先发送DHCP请求，如果获得回应，即获取地址，接通IPTV业务；b).一次DHCP的请求，按照协议栈的实现在第1秒，第9秒分别发起两次地址请求，且每次只发送一个请求报文；c).如果DHCP请求在以上第1秒，第9秒共两次重发Discover动作全部完成后的3秒内仍然没有得到任何回应，则开始发送PPPoE请求，PPPOE请求发送3次，每次间隔10秒；d).在机顶盒发起PPPoE请求后，如果收到任何DHCP服务器的回应，均无条件丢弃；e).如果两次DHCP请求，三次PPPoE请求都没有回应，则提示用户网络连接故障。

8OPTION 60详细要求（Authentication for DHCP Messages）8.1功能描述OPTION 60功能用来完成基于标准DHCP协议，以在客户端输入用户名和密码的方式进行的地址鉴权。

目前在机顶盒中，使用接入帐号和业务帐号分开输入的方式；在OPTION60里将直接使用用户输入的接入层帐号和密码。

接入层用户名与密码一旦输入之后，应储存在硬件之中。

当PPPOE 与DHCP接入模式相切换时如果之前已经输入过接入层用户名与密码，则可以无需再次输入，直接过渡至新的接入方式。

8.2实现流程a).在机顶盒启动后，如果FLASH中没有储存用户名和密码信息，则马上弹出要求输入用户名与密码的窗口由用户输入用户名和密码并保存用户名和密码，用户名密码保存到机顶盒的FLASH中，点击确定之后机顶盒重新启动，机顶盒再次开机时发送的DISCOVER报文中将在OPTION60字段authentication information field插入Message（其中Message为用户名和密码的加密字符串，加密算法见8.3节）。

b).DHCP平台（包括DHCP服务器和认证服务器）收到DISCOVER报文之后解析出OPTION60字段中的用户名和密码，并结合报文中的OPTION82字段在本地所保存的信息库中进行查找与真伪验证。

c).DHCP平台验证用户名、密码，通过则向用户返回OFFER报文；没有通过则丢弃该报文不做任何处理。

d).DHCP认证的详细流程详见5.1节。

8.3加密算法8.3.1协议描述机顶盒（STB）上保存：用户名（UserID），密码（Password）a).在每次发出认证包前，STB生成随机数R，R长度为64bit ，8字节。

b).STB生成时间戳TS，TS定义为距离格林威志时间1970年0点秒数的64bit 整型，强制转换8字节长整型，实在位数不够的话高位补0。

c).生成DHCP认证的用户名Login，Login为接入层帐号（UserID），如 ad50980087@iptv。

UserID的长度为可变的，但最长不超过128Byte。

d).STB生成密文C = EnCry(R+TS+64Bit, Login)，例如C的长度为128bit，Login为120bit(15字符)，EnCry为3DES对称加密算法，密钥为R+TS后用64位0补足192bit。

e).STB生成密钥Key = Hash(R+Password+TS)，其中Key为128bit，Hash()为哈希算法，这里定义为MD5；R+Password+TS就是Byte的直接拼接。

f).STB生成发送消息Message = O+R+TS+Key+C，其中O描述使用的对称加密算法8bit，O=1：表示为上述描述的加密算法，O=其他数字：保留。

【注1】加密时对认证用户名不足的位数采用PKCS7 填充。

PKCS #7 填充字符串由一个字节序列组成，每个字节填充该字节下面的示例演示这些模式的工作原理。

数据每块长度为8字节，假定需要处理的数据长度为非8的整数倍,如9字节，则需要填充的字节数等于7，就在填充位补上7个字节的 07。

●数据： FF FF FF FF FF FF FF FF FF●PKCS7 填充后： FF FF FF FF FF FF FF FF FF 07 07 07 07 0707 07。

数据每块长度为8字节，假定需要处理的数据长度为8的整数倍,如8字节，则需要填充的字节数等于8，我们就在填充位补上8个字节的08。

●数据： FF FF FF FF FF FF FF FF●PKCS7 填充后： FF FF FF FF FF FF FF FF 08 08 08 08 08 0808 08【注2】当用户名超过7字节时，加密块会多于一个，块间连接方式为ECB。

【注3】密文中的整数字节排序采用Big-Endian：Big-Endian 和 Little-Endian 字节排序字节排序含义 Big-Endian 一个Word中的高位的Byte放在内存中这个Word区域的低地址处。

Little-Endian 一个Word中的低位的Byte放在内存中这个Word区域的低地址处。

一个例子：0x1234abcd写入到以0x0000开始的内存中，则结果为：big-endian little-endian0x0000 0x12 0xcd0x0001 0x34 0xab0x0002 0xab 0x340x0003 0xcd 0x128.3.2服务器上的处理a).根据Option 60中的R、TS、密文C，生成UserID＝DeCry(R+TS+64Bit,C)。

b).根据解密出的UserID查找Password，结合Option60中的R和TS生成Key=Hash(R+Password+TS)，比对Option60中的Key。

c).在确认UserID和Key的正确性后，通过。

8.3.3内置加密方式特别说明a).单个机顶盒只需要内置一套加密方式，如果加密方式更新可以远程自动升级新的加密算法。